Lunedì 25 luglio sul sito in cui il gruppo ransomware LockBit pubblica le sue rivendicazioni è comparso un nome che ha fatto rumore: Agenzia delle Entrate. I criminali dichiaravano di aver sottratto 78 GB di dati, tra documenti, scansioni, rapporti finanziari e contratti, e davano cinque giorni per pagare.
Nel tardo pomeriggio Sogei, la società pubblica che gestisce le infrastrutture informatiche dell’amministrazione finanziaria, ha diffuso una nota: dalle prime analisi «non risultano essersi verificati attacchi cyber né essere stati sottratti dati dalle piattaforme e infrastrutture tecnologiche» del fisco. In serata il direttore dell’Agenzia per la Cybersicurezza Nazionale ha avanzato l’ipotesi che sia stato colpito un soggetto terzo. Da quanto filtra dalle indagini della Polizia Postale, i documenti mostrati come prova sarebbero autentici, ma non verrebbero dai sistemi dell’Agenzia. Chi sia questo soggetto, al momento, non è stato reso noto.
LockBit è oggi il gruppo ransomware più attivo al mondo. Da poco ha lanciato una nuova versione del suo malware, con un programma di affiliazione aperto a chiunque porti vittime.
Un nome noto vale più dei dati
Il caso mostra bene una regola del ransomware di oggi: la rivendicazione fa parte dell’estorsione. Associare un furto a un nome che tutti conoscono aumenta la pressione mediatica e la probabilità di un pagamento, anche quando i file arrivano da un fornitore, uno studio professionale o un consulente. La seconda lezione è meno ovvia. I tuoi dati non stanno solo sui tuoi server: commercialisti, consulenti, fornitori e partner conservano copie di documenti e contratti, e se colpiscono loro il danno ricade anche su di te.
Fai l’elenco dei soggetti esterni che custodiscono dati sensibili tuoi o dei tuoi clienti, e chiedi come li proteggono. Nei contratti prevedi l’obbligo di avvisarti subito in caso di incidente, come il GDPR già richiede al responsabile del trattamento. Condividi solo ciò che serve e fai cancellare ciò che non serve più: quello che non è conservato non può essere rubato.
Se un giorno il tuo nome compare in una rivendicazione, verifica prima di parlare. Smentire senza aver controllato può fare danni quanto tacere. E nei prossimi giorni diffida di email e telefonate che chiedono dati fiscali o pagamenti a nome del fisco.
